FRP配置后无法访问内网服务？

Question

FRP配置后无法访问内网服务，常见原因之一是服务端（frps）与客户端（frpc）版本不兼容。当frps为新版本而frpc为旧版本时，可能导致连接建立成功但无法正确转发流量，表现为外网可连通服务器却无法访问映射的内网服务。此外，防火墙未开放对应端口、内网目标服务未监听0.0.0.0或仅绑定127.0.0.1、以及token认证配置不一致等问题也常导致此现象。需检查frpc日志确认服务是否正常上线，并验证stcp或tcp类型配置无误。

Answer 1

1. 常见现象与初步排查

在使用FRP（Fast Reverse Proxy）进行内网穿透时，常见问题之一是：尽管frps（服务端）与frpc（客户端）连接状态显示正常，但外网仍无法访问映射的内网服务。这种现象往往让人误以为连接已成功建立，实则流量未被正确转发。

初步排查应从以下几个方面入手：

• 确认frpc是否成功上线，可通过查看客户端日志判断；
• 检查服务端监听端口是否可从公网访问；
• 验证token配置在两端是否一致；
• 确认内网服务是否处于运行状态。

若以上均无异常，则需深入分析版本兼容性及其他网络层因素。

2. 版本兼容性深度解析

FRP项目迭代频繁，不同版本之间可能存在协议或配置格式的变更。当frps为新版本而frpc为旧版本时，虽然TCP连接可建立，但由于控制信道握手失败或元数据解析错误，导致代理隧道虽“在线”却无法转发数据包。

例如，v0.50.0版本引入了新的加密协商机制，若客户端仍为v0.48.0，则可能表现为：

[W] [control.go:148] start error: authorization failed

或更隐蔽地出现：

[I] [proxy_manager.go:144] proxy removed: [web-service]

此类日志提示代理被移除，实则是版本不匹配引发的协议降级失败。

建议统一升级至同一主版本号下的最新子版本，并参考官方Release Notes确认Breaking Changes。

3. 网络与安全策略影响

即使FRP组件版本一致，外部网络环境仍可能阻断通信。以下是关键检查点：

检查项	说明	验证方法
防火墙规则	云服务器安全组或本地iptables是否放行frps监听端口（如7000）及HTTP/HTTPS映射端口	telnet 公网IP 7000 测试连通性
内网服务绑定地址	目标服务（如Nginx、Web API）是否监听0.0.0.0:8080而非127.0.0.1:8080	netstat -tuln | grep :8080
TCP/STCP类型配置	确保type = tcp且local_ip指向正确内网IP	比对frpc.ini中配置与实际服务地址

4. 日志分析与诊断流程图

通过结构化日志分析可快速定位问题根源。以下为典型诊断路径：

graph TD A[外网无法访问服务] --> B{frpc日志是否有'login to server success'} B -->|Yes| C[检查proxy状态是否active] B -->|No| D[检查token、端口、网络连通性] C --> E{目标服务是否监听0.0.0.0?} E -->|No| F[修改服务绑定地址] E -->|Yes| G[检查防火墙与SELinux] G --> H[确认frps.ini allow_ports范围包含映射端口] H --> I[抓包分析frpc与目标服务间通信]

5. 配置一致性校验与最佳实践

为避免因配置疏漏导致故障，推荐采用标准化模板管理frpc.ini与frps.ini。示例如下：

# frps.ini
[common]
bind_port = 7000
token = your-secure-token
allow_ports = 80,443,8080-8090

# frpc.ini
[common]
server_addr = x.x.x.x
server_port = 7000
token = your-secure-token

[web]
type = tcp
local_ip = 192.168.1.100
local_port = 8080
remote_port = 8080

特别注意：token必须严格一致，包括空格与大小写；remote_port应在allow_ports范围内。

对于生产环境，建议启用log_level = debug并定期轮转日志文件以辅助排错。